欢迎光临第五届中国汽车网络信息安全峰会2020!

行业“三滞后”、企业“三缺乏”,车联网信息安全大门易攻难守?

发布日期:2020-10-23

GRCC IoVSecurity 今天 

手机阅读


点击上方蓝色字体,关注我们

前不久,风头正劲的特斯拉又一次成为舆论焦点。不过,这一次可不是发生了什么好事情。据外媒报道,原来特斯拉遭遇完全的网络中断,公司内部系统宕机,手机APP和内部系统无法连接汽车。在系统出现宕机后,特斯拉员工无法处理订单和车辆交付工作;特斯拉的能源产品也受到这次故障的影响,太阳能和Powerwall储能电池用户无法监控系统;特斯拉官网主页之外的页面一度无法访问。市场分析认为,正是这一事故导致该公司当日股价暴跌。

事实上,随着智能网联技术的发展,汽车网络安全正面临越来越严峻的考验,我国车联网也曝出不少安全隐患。网络安全风险凸显的背后,加快构建车联网安全体系的紧迫性越来越高。

■去年网络安全导致汽车安全事件占比57%

最近,在工业和信息化部网络安全管理局的指导下,由中国汽车技术研究中心牵头编制的《车联网网络安全白皮书(2020年)》(以下简称“《白皮书》”)公布。《白皮书》显示,随着我国智能网联汽车渗透率逐渐升高,网络安全事件频发,仅2019年网络安全问题导致的汽车安全事件占比高达57%。目前,我国车联网统一技术平台建设尚处起步阶段,不能提供可靠的安全保障,配套网络安全政策法规、标准研究制定等工作仍需加快推进。

据介绍,相较于2019车联网信息安全十大风险,2020年的十大风险中,“不安全的生态接口”仍处于首位,占比约25%;“系统固件可被提取及逆向”由第6名上升到第5名,占比约10%;“存在已知漏洞的组件”由第7名上升到第6名,占比约9%;“车载网络未做安全隔离”由第5名下降到第7名,占比约7%。

《车联网网络安全检测评估报告》则结合“硬性”设备测试评估结果,与“软性”企业管理调研情况,梳理车联网网络安全设备共性隐患、企业管理通病,剖析总结车联网网络安全行业需求痛点,简称为“行业三滞后、企业三缺乏”。“三滞后”是指行业监督管理滞后,企业缺乏合规动力;行业标准体系滞后,企业缺乏标准指导;行业漏洞管理滞后,企业缺乏共享渠道。“三缺乏”则是指部分小型企业因规模与成本受限,虽有漏洞在身,但无能力修复,需要依托大型企业投入科研与资本,承担行业责任,解决共性问题,形成行业发展联盟,搭建行业共享平台,共同解决风险隐患。

■今年以来对车联网的恶意攻击达280万余次

在今年9月召开的2020中国汽车产业发展(泰达)国际论坛上,工信部网络安全管理局局长赵志国透露,根据去年的专项调研结果,85%的(车联网)关键部件存在安全漏洞,80%以上的车联网平台和APP存在缺乏身份鉴别、数据明文重组等隐患,近六成企业缺乏自动化的网络安全监测响应能力。他还介绍称,从车联网动态监测情况看,网络攻击向车联网领域延伸,今年以来对整车企业、车联网信息服务提供商等相关企业和平台的恶意攻击,达到280万余次,平台的漏洞、通信的劫持、隐私泄露等风险十分严重。

据了解,车辆端、通信安全、基础设施等方面都存在一定的车联网安全风险。中国汽车工程研究院股份有限公司特聘专家郑光伟在接受《中国汽车报》记者采访时表示,从车辆和车主层面看,企业对车主信息的保护重视不够,有些甚至处于完全空白的状态。而随着汽车智能化、网联化的发展,一些车主信息包括社交账号、银行账号等,可以通过车联网传输到云端,如果车企缺乏对这些信息的安全性保护,很容易发生泄露。目前,这类问题比较普遍,大多数企业未能及时建立有效的措施,加强相关信息的安全管理。此外,黑客通过车联网进行恶意攻击,进行车辆远程操控等的安全风险更大。同时,在行业管理层面,一些外资品牌车型的车联网信息,如摄像头等传感器采集的道路信息等,很可能因缺乏监管或监管不到位而流出。“利用这些数据,国外一些机构无需测绘就能掌握我国高精度地图,安全风险极大。”他认为,在云端安全方面,除阿里、腾讯这些专业的互联网公司外,我国车联网产业链上的其他主体,尤其车企对网络安全问题的重视还远远不够。

中汽数据有限公司智能业务本部副总监张亚楠也表示,车联网信息安全与传统互联网信息安全类似,通常采用端口扫描、漏洞挖掘、逆向破解等综合技术手段,洞察车联网所面临的的信息安全威胁,进而利用已知的安全漏洞进行网络攻击。在车联网领域,汽车受到的信息安全威胁来自方方面面,比如云端受到服务中断、未授权访问等威胁;路侧单元端受到通信劫持、通信干扰等威胁,车车通讯受到车辆伪造、数据盗取、通讯中断等威胁;车端受到拒绝服务、协议逆向、软件逆向、固件解密等威胁。

■标准指南将出台管理体系不断健全

“对于车企而言,车联网安全是一个全新的领域,它们甚至不知道怎么防控联网数据的泄露。随着技术和市场的发展,企业在车联网安全方面的构建,无论是体系的打造还是人才的储备,都应该有所提升。”郑光伟表示。

去年3月,汽标委智能网联汽车分标委提交的4项有关汽车信息安全的推荐性国家标准项目获批立项,分别是《汽车信息安全通用技术要求》(计划号20191065-T-339);《电动汽车远程服务与管理系统信息安全技术要求》(计划号20191066-T-339);《车载信息交互系统信息安全技术要求》(计划号20191069-T-339);《汽车网关信息安全技术要求》(计划号20191070-T-339)。

另据了解,今年1月,受工信部网络安全管理局委托,中国信息通信研究院(以下简称“中国信通院”)组建专项团队支持推进车联网(智能网联汽车)网络安全相关指南文件的编制。2019年12月25日,中国信通院组织召开专题研讨会,就车联网网络安全防护指南(草案)、车联网数据分类分级及合规应用指南(草案)征求专家意见。中国信息通信研究院安全研究所副所长林美玉透露,《车联网网络安全标准体系》正在加快构建,预计今年内对外发布。

赵志国强调,应着力探索建立车联网产业链企业网络安全分级分类管理模式,明确各类企业安全的要求,提升指导、提升企业的网络安全水平,着力解决整车企业网络安全意识不强的问题,指导企业建立健全内部网络安全的管理体系,打造整车企业网络安全综合集成创新和服务保障的能力。据悉,一方面,工信部将重点针对车联网的平台、车载关键设备、远程服务应用,积极构建企业自检测、第三方测评、政府监督相互协同的网络安全监测认证评估体系,提升车联网关键设备和关键环节的安全水平;另一方面,还将以产业安全发展需求为落脚点,加强车联网安全政策的供给,完善危险监测、信息共享、监督检查、协同处置的闭环管理机制,积极打造安全监管的服务生态。

张亚楠表示,在企业层面,整车企业为安全第一责任人。参照互联网领域信息安全“三分靠技术、七分靠管理”的治理经验,车企应通过构建管理体系的方式来规范研发流程,提供资源保障,管理安全风险,并在产品研发设计之初即将信息安全纳入考量,实现以全链条、反馈闭环、事前预防的形式应对信息安全问题,达到主动防御的目的;在汽车产品层面,则着重从技术手段出发,保障车端和链接端的安全,其中,风险评估、安全防护技术的应用都是关键环节,由于每个车企设计的车型架构不尽相同,整车级信息安全防护需要做整体的规划和设定;此外,开展安全验证活动也是有效的风险防范措施,利用黑盒测试、白盒测试、灰盒测试等方法,借助漏洞扫描、渗透测试、模糊测试、策略验证测试等验证技术,实现对汽车产品的信息安全验证,验证产品是否符合安全要求与安全质量标准。


本文转自【中国汽车报网】



相关文章

您准备好进行公路车辆的ISO SAE 21434网络安全了吗?
工信部:将推进车联网网络安全标准制定
个人信息保护法草案出台,罚款看齐GDPR,**可罚5000万或5%营业额






SELECTED EVENTS




 

长按二维码识别关注



我就知道你“在看”


  • 电话咨询
  • 15021948198
  • 021-22306692
None